4、风险评估（RA）：风险识别方法、风险分析与评价

风险评估（Risk Assessment, RA）是业务连续性管理体系的基石。其核心目标在于系统性地识别可能中断关键业务功能的威胁，分析其发生的可能性与影响程度，并依据风险等级进行优先级排序，为后续制定风险处置策略和业务连续性计划提供决策依据。

4.1 风险识别方法

风险识别是发现、列举和描述风险要素的过程。常用的方法包括以下三种：

方法	核心描述	适用场景与特点
头脑风暴	组织跨部门专家，在无批评的自由氛围中，针对“哪些事件可能导致业务中断”进行发散性讨论，激发集体创意。	适用于新业务、新流程或缺乏历史数据时。能识别未知风险，但需经验丰富的引导者控制节奏。
检查表	基于历史事件、行业标准（如ISO 22301、NFPA 1600）或组织经验，预先编制风险清单，逐项核对是否存在。	适用于常规、重复性高的业务场景。效率高、不易遗漏，但可能忽略清单外的特殊风险。
SWOT分析	从内部优势（S）、劣势（W）和外部机会（O）、威胁（T）四个维度，系统梳理组织面临的战略与运营风险。	适用于战略规划层面的风险识别。能结合内外部环境，但需注意将“劣势”和“威胁”转化为具体的业务中断场景。

4.2 风险分析：定性 vs 定量

风险分析旨在理解风险的本质，通常从可能性和影响程度两个维度进行评估。主要分为定性分析与定量分析两种方法。

维度	定性分析	定量分析
描述方式	使用文字或等级描述（如：高、中、低；非常可能、可能、不太可能）	使用数值或货币单位（如：损失金额、停机小时数、发生概率百分比）
数据来源	专家判断、历史经验、小组讨论	历史统计数据、财务模型、行业基准、蒙特卡洛模拟
优点	快速、成本低、易于理解，适用于缺乏精确数据的情况	结果精确、可比较、支持成本效益分析（如ROI计算）
缺点	主观性强，不同评估者可能得出不同结论	数据收集难度大、建模复杂、对专业能力要求高
BCP典型应用	初步筛选风险、制定风险热力图	计算业务中断损失（如每小时收入损失）、确定保险额度

4.3 风险评价与优先级排序

风险评价是将分析结果与预先设定的风险准则进行比较，以确定风险等级和优先级的过程。核心步骤包括：

1. 设定风险准则：明确组织可接受的风险水平（风险 appetite）。例如：关键业务中断时间不得超过4小时。
2. 计算风险等级：通常使用公式 风险等级 = 可能性 × 影响程度（定性或定量均可）。
3. 绘制风险热力图：将风险点标注在矩阵中，直观展示高风险区域。
4. 确定优先级：按照风险等级从高到低排序，优先处理“高可能性 + 高影响”的风险。

4.4 风险评价输出示例

以下是一个简化的风险评价表，展示了如何对识别出的风险进行排序：

风险编号	风险描述	可能性	影响程度	风险等级	优先级
R-001	数据中心电力中断超过2小时	中	高	高	1
R-002	核心ERP系统因软件故障宕机	低	高	中	2
R-003	关键供应商因火灾无法供货	低	中	低	3
R-004	网络攻击导致客户数据泄露	高	高	高	1